O'Reilly logo

Aktualisieren Ihrer MCSA/MCSE-Zertifizierung auf Windows Server 2008 MCTS - Original Microsoft Training für Examen 70-648 und 70-649 by Ian L. McLean, Orin Thomas

Stay ahead with the world's most comprehensive technology and business learning platform.

With Safari, you learn the way you learn best. Get unlimited access to videos, live online training, learning paths, books, tutorials, and more.

Start Free Trial

No credit card required

Lektion 2: Konfigurieren von IPSec 81
Arbeiten mit Verbindungssicherheitsregeln
Windows Server 2008 bezeichnet IPSec-Regeln als Verbindungssicherheitsregeln (engl.
connection security rule). Sie erfüllen dieselbe Aufgabe wie die IPSec-Regeln in älteren
Windows-Versionen, unterstützen aber leistungsfähigere Authentifizierungs- und Ver-
schlüsselungsalgorithmen.
In
älteren Windows-Versionen war es für die Implementierungen von Server- oder Domänen-
isolierung gelegentlich nötig, sehr viele IPSec-Regeln zu definieren, um zu gewährleisten,
dass einerseits vertraulicher Netzwerkverkehr geschützt war, aber andererseits auch noch
Netzwerkverkehr ausgetauscht werden konnte, der nicht mit IPSec geschützt war. Windows
Server 2008 vereinfacht diese Konfiguration, indem es ein neues Standardverhalten festlegt.
Es führt dazu, dass die Umgebung mehr Sicherheit bietet und Probleme einfacher zu beseiti-
gen sind.
Weitere Informationen Domänenisolierung
Weitere Informationen zur Domänenisolierung in Windows Server 2008 finden Sie unter
http://technet.microsoft.com/en-us/library/cc770610.aspx.
Windows Server 2008 führt das neue Konzept der Verbindungssicherheitsregeln ein. Damit
wird es einfacher, IPSec für die authentifizierte Kommunikation in einem Netzwerk zu im-
plementieren. Windows Server 2008 gibt Ihnen die Möglichkeit, Verbindungssicherheits-
regeln mithilfe eines Gruppenrichtlinienobjekts (Group Policy Object, GPO) im Zweig
Windows-Firewall mit erweiterter Sicherheit zu erzwingen.
Verbindungssicherheitsregeln werten den Netzwerkverkehr aus. Sie blockieren oder erlau-
ben Nachrichten auf Basis der von Ihnen konfigurierten Kriterien oder handeln die Sicher-
heit für die Kommunikation aus. Im Unterschied zu IPSec-Richtlinien enthalten Verbin-
dungssicherheitsregeln keine Filter oder Filteraktionen. Die Features, die über Filter und
Filteraktionen implementiert werden, sind in allen Verbindungssicherheitsregeln integriert,
aber die Filterfähigkeiten in Verbindungssicherheitsregeln sind nicht so leistungsfähig wie
die in IPSec-Richtlinien. Wenn Sie weitergehende, komplexere Filterung brauchen, können
Sie WFAS oder Netsh verwenden. In der Standardeinstellung werden Verbindungssicher-
heitsregeln nicht auf bestimmte Typen von IP-Verkehr angewendet, etwa IP-Verkehr, der
über Port 23 läuft. Stattdessen gelten sie für den gesamten IP-Verkehr, der von oder an
bestimmte IP-Adressen, Subnetze oder Server im Netzwerk läuft.
Eine Verbindungssicherheitsregel authentifiziert zuerst die Computer, die in der Regel defi-
niert sind. Danach beginnen sie mit der Kommunikation und schützen schließlich die Daten,
die zwischen den beiden authentifizierten Computern ausgetauscht werden. Wenn Sie eine
Verbindungssicherheitsregel konfiguriert haben, die Sicherheit für eine bestimmte Verbin-
dung vorschreibt, aber die beiden beteiligten Computer sich nicht gegenseitig authentifizie-
ren können, wird die Verbindung blockiert.
In der Standardeinstellung stellen Verbindungssicherheitsregeln nur Datenauthentifizie-
rungssicherheit zur Verfügung (Authentifizierung der Datenherkunft, Datenintegrität und
Anti-Replay-Schutz). Aus diesem Grund authentifizieren Verbindungssicherheitsregeln
normalerweise nur Verbindungen. Sie können für Verbindungssicherheitsregeln aber auch
82 Kapitel 2: Konfigurieren von IP-Diensten
eine Datenverschlüsselung konfigurieren (meist in WFAS), sodass die entsprechenden Ver-
bindungen tatsächlich geschützt und nicht nur authentifiziert sind.
Praxistipp
Ian McLean
Der Vorteil von Verbindungssicherheitsregeln liegt in ihrer Einfachheit. Die meisten
Administratoren lassen nur die Standardfunktionen mit Verbindungssicherheitsregeln
erledigen. Komplexere Funktionen, etwa Port- oder IP-Filterung, implementieren sie
dann über WFAS. Sie können auch IPSec-Richtlinien nutzen, wenn Sie beispielsweise
Datenverschlüsselung brauchen. Wenn Sie bereits mit der IPSec-Konfiguration in Win-
dows Server 2003 vertraut sind, wird Ihnen diese Methode relativ leicht fallen. Es lässt
sich schwer vorhersagen, ob in den Upgradeprüfungen mehr Fragen zu den neuen Me-
thoden zur IPSec-Konfiguration kommen als zu den vertrauten Methoden. Ich habe aber
die Erfahrung gemacht, dass sich die Prüfungen oft auf neue Features konzentrieren.
Mein Ratschlag: Üben Sie beide Methoden.
Verbindungssicherheitsregeln werden in der Konsole Windows-Firewall mit erweiterter
Sicherheit konfiguriert. Konkrete Einstellungen aus der Konsole Windows-Firewall mit
erweiterter Sicherheit können Sie in einem gesamten Netzwerk mithilfe von Gruppenricht-
linien erzwingen. Abbildung 2.14 zeigt ein Gruppenrichtlinienobjekt, das Verbindungs-
sicherheitsregeln für viele Computer in einem Netzwerk definiert.
Abbildung 2.14 Verbindungssicherheitsregeln können in Gruppenrichtlinien definiert werden
Hinweis Exportieren von Verbindungssicherheitsregeln
Sie können die Export- und Importfunktionen der Konsole Windows-Firewall mit erweiter-
ter Sicherheit nutzen, um einen Satz Verbindungssicherheitsregeln zu erstellen und dann auf
andere Computer oder in Gruppenrichtlinienobjekte zu exportieren.

With Safari, you learn the way you learn best. Get unlimited access to videos, live online training, learning paths, books, interactive tutorials, and more.

Start Free Trial

No credit card required